CWE-204

userSpice 4.3.24 zawiera podatność umożliwiającą nieuuwierzytelnionym atakującym odkrycie prawidłowych nazw użytkowników w systemie. Stanowi to istotne zagrożenie, ponieważ ułatwia przeprowadzenie dalszych ataków, takich jak brute force czy credential stuffing.

Podatność w Eclipse Milo (wersje 0.6.0–1.1.4) pozwala atakującemu znajdującemu się na ścieżce sieciowej (on-path) na odzyskanie hasła ofiary poprzez atak padding oracle na token uwierzytelniający zaszyfrowany algorytmem Basic128Rsa15. Zagrożenie jest krytyczne, ponieważ nie wymaga żadnego uwierzytelnienia po stronie atakującego.

Biblioteka Mojolicious dla języka Perl w wersjach od 4.59 do 9.48 eksponuje token CSRF sesji na atak typu BREACH compression oracle. Atakujący może odzyskać token CSRF i ominąć zabezpieczenia walidacji CSRF.

Endpoint AssumeRoleWithLDAPIdentity w usłudze STS systemu MinIO AIStor jest podatny na brute-force poświadczeń LDAP z powodu rozróżnialnych odpowiedzi błędów oraz braku ograniczenia liczby prób uwierzytelnienia. Nieuwierzytelniony atakujący sieciowy może wyliczyć prawidłowe nazwy użytkowników LDAP, a następnie bez ograniczeń zgadywać hasła, uzyskując dostęp do zasobów S3 ofiary.

User names used to access the web management interface are limited to the device identifier, which is a numerical identifier no more than 10 digits. A malicious actor can enumerate potential targets by incrementing or decrementing from known identifiers or through enumerating random digit sequences.

Observable response discrepancy in Azure Stack HCI allows an unauthorized attacker to disclose information over a network.

Combodo iTop is a web based IT service management tool. Prior to 3.2.3, iTop returns different responses for valid/invalid usernames depending on multiple factors in the reset password mechanism, leading to user enumeration. This issue has been fixed in version 3.2.3.

CWE-204: Observable Response Discrepancy

An unauthenticated remote attacker can enumerate valid user names from an unprotected endpoint.

A vulnerability in SonicWall SMA100 password change API allows a remote unauthenticated attacker to perform SMA100 username enumeration based on the server responses. This vulnerability impacts 10.2.1.2-24sv, 10.2.0.8-37sv and earlier 10.x versions.

In mymbCONNECT24, mbCONNECT24 <= 2.9.0 an unauthenticated user can enumerate valid backend users by checking what kind of response the server sends for crafted invalid login attempts.

An observable response discrepancy vulnerability in the SonicWall SMA1000 series appliances allows a remote attacker to enumerate SSL VPN user credentials.

Icinga 2 is an open source monitoring system. In Icinga 2 versions 2.4 through 2.15.0, filter expressions provided to the various /v1/objects endpoints could access variables or objects that would otherwise be inaccessible for the user. This allows authenticated API users to learn information that should be hidden from them, including global variables not permitted by the variables permission and objects not permitted by the corresponding objects/query permissions. The vulnerability is fixed in versions 2.15.1, 2.14.7, and 2.13.13.

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account raises an error that the global handler renders as a not-found status, while a registered address proceeds to send the reset message and returns no-content. The route is mounted without authentication. Submitting candidate addresses and comparing the two status codes therefore establishes which addresses hold accounts, with no credential and no rate limiting in the path.

Rocket.Chat exposes the sendForgotPasswordEmail Meteor method without a DDP rate limit, so an unauthenticated caller may invoke it as often as it likes. The method is reachable over DDP and over the HTTP route POST /api/v1/method.callAnon/sendForgotPasswordEmail, and it triggers a password reset message for any address that matches an account. With no DDPRateLimiter rule registered for it, a caller can drive an unbounded volume of reset mail at a chosen address from the deployment's own mail sender, and can probe addresses at scale: the method answers true for an address with no account and for a successful send, but false when the address belongs to an account that authenticates through an external provider and Accounts_AllowPasswordChangeForOAuthUsers is off, so repeated calls distinguish that class of account. Later versions register a rule permitting ten calls per minute per client address.

Frappe is a full-stack web application framework. Prior to 15.115.0 and 16.27.0, the public request-data web form and PersonalDataDownloadRequest class in frappe/website/doctype/personal_data_download_request/personal_data_download_request.py return distinguishable response shapes for registered and unregistered email addresses, including the user_name field and persistence behavior. A remote attacker can compare the responses to enumerate registered users. This issue is fixed in versions 15.115.0 and 16.27.0.

WPGraphQL provides a GraphQL API for WordPress sites. From 2.0.0 until 2.15.1, the deprecated user field on SendPasswordResetEmailPayload lets an unauthenticated caller distinguish existing author-class accounts through the sendPasswordResetEmail mutation and obtain public profile fields. This issue is fixed in version 2.15.1.

Rejetto HFS w wersjach 3.0.0 do 3.2.0 zwraca wyraźnie różne odpowiedzi z punktu końcowego logowania w zależności od tego, czy przesłana nazwa użytkownika istnieje. Zdalny atakujący bez autoryzacji może wykorzystać tę lukę do potwierdzenia prawidłowych nazw kont, w tym domyślnego konta administratora, ułatwiając ataki polegające na zgadywaniu haseł i podrabianiu sesji.

MCO jest podatny na User Enumeration poprzez funkcjonalności związane z uwierzytelnianiem. Aplikacja zwraca rozróżnialne odpowiedzi dla prawidłowych i nieprawidłowych użytkowników podczas operacji przypominania nazwy użytkownika i resetowania hasła. Atakujący może wykorzystać te różnice do enumeracji prawidłowych nazw użytkowników i adresów email. Ze względu na nieudane próby kontaktu z dostawcą, podatność została potwierdzona tylko w wersji 25.3.3.1, ale może również dotyczyć innych wersji.

vantage6 to infrastruktura open-source do analizy z zachowaniem prywatności. Wersje poprzedzające 5.0.0 zawierają domyślnego użytkownika o nazwie `root` i haśle `root`, co stanowi zagrożenie bezpieczeństwa, ponieważ atakujący wiedzą, że prawie wszystkie serwery vantage6 mają użytkownika `root` z uprawnieniami administratora, a hasło jest słabe i administratorzy mogą zapomnieć je zmienić. Wersja 5.0.0 rozwiązuje ten problem. W zastępstwie można usunąć użytkownika `root` po jego wykorzystaniu do utworzenia innych kont.